---
title: "20251201 [[03_PROJETS/NPDGE-HOLOGATION]] - Réunion de restitution de l'audit d'intrusion (Bug Bounty)"
tags: "meeting"
date: "2025-12-01"
heure: "11h30/12h00"
lieu: "visio"
priority: 10
---
# 20251201 [[03_PROJETS/NPDGE-HOLOGATION]] - Réunion de restitution de l'audit d'intrusion
01/12/2025 - 11h30/12h00

Réunion de présentation du rappot suite à l’audit de sécurité sur la plateforme DataGrandEst (Bug Bounty).

## Participants

- RSSI
- DN (tarek)
- Titulaires : C2C, eXo, Adipso, Auric SDV
- GRK
- YesWeHack
- Didier L. (Metapolis)

## Notes

**1. Vulnérabilité sur accès aux fichier dump du CMS avec credentials**
Conditions qui ont fait que le fichier de zip soit rendu public
Conditions pour que ça ne se reproduise pas
=> Credential non changés depuis
=> SDV regarde si un accès aux fichier de dump a eu lieu enre sa divulgation et sa suppression

**2. SSRF => faille sur WPS (porte d'entrée)**
=> Prise en compte de la vulnérabilité : passer par une white liste pour limiter les accès
=> Risque d'avoir des effets de bord en fonction de l'usage par les partenaires : impact sur l'administration avec mitigation d'une white liste
=> Désactiviation du WPS ? A voir si c'est possible...
=> Informer la communauté de GeoServer + demander activation par défaut (transmettre rapport anonymisé) - OK : validation par RRSI

**3. Injection code via Geonetwork/ElasticSearch (via API de recherche)**
=> En cours d'analyse côté C2C
=> Désactivation du scripting pas possible. Idée serait de mettre en place une whitelist.
=> Pas une vulnérabilité critique => la Région est en attente d'un échéancier
=> Voir avec Olivia pour porter les éléments au niveau de la communauté GN

**4. Jugée non conforme => faux positif**
- RAS

**Autre audits existants**
C2C : autres tests de sécurité => pas de problèmes relevés sur geOrchestra
- Rennes Métropole (il y a plusieurs années) : certificats (matériel cryptographiques pas suffisamment forts)
- MEL (2024 ?) : 
Objectif : montrer que la plateforme georchestra est testé régulièrement sans identification de vulnérabilité notable

Programme YesWeHack lancé demain sur eXo Platform sur plusieurs mois

## A Faire